Komponenter

Varning för webbläsarcertifikat på grund av DNS-fel

Типы записей DNS | Курс "Компьютерные сети"

Типы записей DNS | Курс "Компьютерные сети"
Anonim

För några dagar sedan skrev jag om en grundläggande fel i DNS-protokollet Domain Name Service som hanterar uppslaget från personlästa namn till maskinbehandlade Internet Protocol (IP) adresser, rekommendera alla läsare att bestämma deras sårbarhet och vidta åtgärder.

Det finns en ytterligare varning jag borde vidarebefordra. Eftersom denna fel tillåter en angripare att förgifta DNS för alla vars system ansluter till en omladdad DNS-server, kan en angripare också kringgå ett skydd som är inbyggt i krypterade webbsessioner.

Webkryptering använder SSL / TLS (Secure Sockets Layer / Transport Layer Säkerhet), en standard som bygger på tre metoder för att säkerställa att din webbläsare bara ansluter till den rätta parten i den andra änden för en säker länk.

[Ytterligare läsning: Bästa NAS-lådor för media streaming och backup]

Först, varje webbserver som använder SSL / TLS måste ha ett certifikat, antingen en per server eller ett gruppcertifikat. Detta certifikat identifierar servern.

För det andra binder certifikatet domännamnet på servern. Du kan få ett certifikat för www.infoworld.com och använda det med www.pcworld.com.

För det tredje valideras identiteten hos den part som begär certifikatet för ett visst domännamn av en certifikatmyndighet. Ett företag som driver en sådan myndighet bekräftar personen och företaget som begär ett certifikat och skapar sedan ett certifikat med sin välsignelse som är kryptografiskt bunden till den. (Högre nivåer av validering är nu tillgängliga, varför du ser ett stort grönt område på platsen som är inlagd i de senaste versionerna av Internet Explorer och Firefox, vilket indikerar att utökad validering utfördes.)

Dessa certifikatmyndigheter har själva en uppsättning certifikat som bevisar deras identitet, och vilka är förinstallerade i webbläsare och operativsystem. När du ansluter till en webbserver hämtar din webbläsare offentligt certifikat innan du startar en session, bekräftar att IP-adressen och domännamnet matchar, validerar certifikatets integritet och kontrollerar sedan myndighetssignaturen för dess validitet.

Om något test misslyckas, du varnas av din webbläsare. Med DNS-felet kan en angripare omdirigera din bank- eller e-handelssession till deras efterlikna versioner av säkra webbplatser som drivs av olika företag, och din webbläsare skulle inte märka skillnaden i IP-adress eftersom domännamnet i det falska certifikatet skulle matcha IP adress som angriparen hade planterat.

Din webbläsare skulle dock notera att det inte finns någon betrodd certifikatmyndighetens signatur bifogad. (Hittills finns det inga rapporter om framgångsrik socialteknik av dessa myndigheter som är knutna till DNS-felet.) Din webbläsare skulle berätta att certifikatet var självtecknat, vilket betyder att angriparen använde en genväg och släppte ut en myndighets underskrift, eller använde en icke-betrodd auktoritet, som angriparen skapade sig. (Det är trivialt att skapa en auktoritet med hjälp av open source-verktyg, vilket hjälper till inom företag och organisationer. Jag har gjort det själv. Men de oberoende myndigheterna valideras inte av webbläsare om du inte installerar ett certifikat separat på dessa maskiner.)

Min varning här är att om du får någon form av certifikat eller SSL / TLS-varning från din webbläsare, sluta anslutningen, ring din ISP eller IT-avdelning och skriv inte in personliga eller företagsuppgifter.